Política de Privacidad
Última actualización: 2026-10-13 — añadido § 8 sobre el gate server-side de Google Analytics (Sprint 52, cumplimiento UK PECR Reg 6)
1. Quiénes somos
TenderWatch es operado por Liberty Dreams LTD, empresa registrada en Reino Unido (Companies House #12724306, VAT GB353810900). Para cualquier consulta sobre privacidad, escríbenos a tickets@libertydreams.co.uk.
2. Qué datos personales recogemos
- Email y contraseña (hash, nunca en texto plano) al crear cuenta.
- Nombre y empresa (opcional) para personalizar la experiencia.
- País para filtros y cumplimiento RGPD/UK GDPR.
- Dirección IP y logs de acceso durante 30 días, para seguridad y prevención de abuso.
- Historial de búsqueda para mejorar recomendaciones (sin identificarte).
3. Datos de licitaciones (Open Government Licence v3.0)
Las licitaciones que mostramos provienen de fuentes oficiales del gobierno británico (Find a Tender Service), europeo (TED), español (PLACSP), holandés (TenderNed) y francés (BOAMP), todas bajo Open Government Licence v3.0. Cuando contienen datos personales (ej: nombre de un oficial de contratación, teléfono), los anonimizamos antes de cualquier procesamiento con IA o envío por email, según UK GDPR Art. 5(1)(c) (minimización de datos).
4. Cómo usamos tus datos
- Proveer el servicio (búsqueda, guardados, dashboard).
- Procesar pagos via el sistema de gestión de suscripciones del operador (alojado en la misma infraestructura UK; solo compartimos el ID de cliente con este sistema, no datos de pago).
- Mejorar el producto (agregaciones anónimas, sin identificación).
- Prevenir abuso y cumplir la ley.
No vendemos ni cedemos tus datos a terceros con fines comerciales.
5. Tus derechos (UK GDPR + DPA 2018)
- Acceso: pedir una copia de todos los datos que tenemos sobre ti.
- Rectificación: corregir datos incorrectos.
- Supresión ("derecho al olvido"): borrar tu cuenta y todos los datos asociados.
- Portabilidad: exportar tus búsquedas y configuración.
- Oposición: oponerte al procesamiento para marketing (no hacemos marketing directo).
- Reclamación ante la ICO: ico.org.uk
Para ejercer cualquiera de estos derechos, escríbenos a tickets@libertydreams.co.uk. Respondemos en 30 días.
6. Conservación de datos
- Cuenta activa: mientras tu cuenta esté abierta.
- Cuenta cerrada: borramos todos los datos personales en 30 días. Los logs de pago se conservan 7 años (obligación HMRC).
- Licitaciones scrapeadas: datos públicos, conservamos mientras el servicio esté activo.
7. Seguridad
Contraseñas hasheadas con argon2id. Conexiones HTTPS (TLS 1.2+). Acceso a datos personales limitado al personal esencial. Backups cifrados en reposo.
8. Transferencias internacionales
Servidores principales en el Reino Unido, gestionados por un socio tecnológico del operador Liberty Dreams LTD. Mautic (newsletter) y el sistema de suscripciones SSO se ejecutan en la infraestructura propia del operador, no son sub-encargados externos. Los siguientes sub-encargados externos pueden procesar datos fuera del EEE — siempre bajo cláusulas contractuales estándar o equivalente UK GDPR:
- Google LLC (Google Analytics 4, ID G-R10CD3BTL5) — Tratamiento agregado de uso del sitio (mediciones de páginas, eventos). Sub-procesador US bajo UK Extension to the EU-US Data Privacy Framework (vigente desde octubre 2023). IP anonimizada antes del envío (
anonymize_ip: true). Datos de evento retenidos 14 meses, después borrados automáticamente por GA4. Carga condicional desde el 2026-10-13 (Sprint 52): el script de Google NO se sirve salvo que la cookiecookie_consent=acceptedesté presente, validada en el servidor porapp/main.py:analytics_js()(gate server-side que reemplaza el anterior inline-loader enpartials/analytics.html). Si rechazas, el endpoint devuelve un comentario no-op y Google nunca recibe una petición. Una vez aceptas, el gate sirve el snippet con Consent Mode v2:analytics_storage: granted,ad_storage: denied,ad_user_data: denied,ad_personalization: denied,anonymize_ip: true,allow_google_signals: false. Base legal UK GDPR: Art. 6(1)(a) consent. Sub-procesador: Google LLC. Detalle técnico: ver § "Cookies de terceros" en nuestra Política de Cookies. No compartimos con Google ninguna información personal identificable (email, nombre, empresa) — sólo el ID de sesióntw_sessy la URL visitada. - Mautic — Medición de páginas a través del script
mtc.jscargado únicamente tras consentimiento explícito (cookie_consent=accepted, validado en servidor porapp/mautic_tracker.py; ver § "Cookies de terceros" en nuestra Política de Cookies). El hit es una página vista agregada condocument.referrery un ID anónimo de visitante (mtc_id) que vive enlocalStorage; no contiene email del usuario, ni términos de búsqueda, ni ningún dato personal. Retención: 36 meses (política de Mautic 5, configurable). Instalación local del operador en sus propios servidores UK; no es un sub-procesador externo. - Proveedor LLM primario (DeepSeek) — Resumen bilingüe de licitaciones. Texto pre-redactado por
app/shared/pii_detector.py(8 regex: email, UK phone, PLACSP ID, EU phone, honorific names, Spanish ID, UK NI, address) antes del envío. Rate limit mensual por tier (trial/Starter 50, Pro 500, Scale ilimitado). - Proveedor LLM fallback (MiniMax, vía API Anthropic-compatible) — Activado automáticamente sólo cuando DeepSeek falla por timeout / 5xx / 429 / parse error. Misma redacción PII pre-envío.
9. Menores
TenderWatch es un servicio B2B para empresas. No está dirigido a menores de 18 años.
10. Cambios a esta política
Te avisaremos por email al menos 30 días antes de cualquier cambio material.
11. Equivalencia UK/UE para residentes EEE
TenderWatch (operada por Liberty Dreams LTD, Reino Unido) aplica tanto el UK General Data Protection Regulation como el Regulation (EU) 2016/679 cuando el usuario reside en el Espacio Económico Europeo. La autoridad de control competente para residentes UK es la Information Commissioner's Office (ico.org.uk); para residentes EEE, la autoridad de control del Estado miembro de residencia, coordinada a través del European Data Protection Board (edpb.europa.eu).